Passkeys en USDX: qué son y por qué reemplazamos contraseñas por tu huella

Sabés cuál es la contraseña más insegura del mundo? La que sí recordás. Porque si la recordás, es probable que sea corta, que la uses en otro lado, o que esté escrita en algún lugar. Y las que no recordás — esas terminan en el mismo gestor de contraseñas que en algún momento vas a reutilizar entre sitios.

USDX lanzó soporte para passkeys: el estándar de autenticación que usa la biometría de tu dispositivo en lugar de una contraseña. Huella, Face ID, PIN del teléfono o clave del sistema operativo en la computadora. Si podés desbloquear tu dispositivo, podés entrar a USDX.

Qué es exactamente una passkey

Una passkey funciona con criptografía de clave pública. Cuando la creás, tu dispositivo genera un par de claves: una pública (que USDX guarda) y una privada (que nunca sale de tu dispositivo). Cuando iniciás sesión, tu dispositivo firma un desafío con la clave privada — USDX verifica con la pública. Nunca viaja ninguna contraseña.

Esto resuelve los tres ataques más comunes de una sola vez:

• Phishing: si entrás a un sitio falso, la passkey no funciona — está criptográficamente atada al dominio real.
• Filtración de base de datos: no hay contraseña hasheable que robar. Si alguien roba la base de datos de USDX, no consigue nada útil para iniciar sesión.
• Credential stuffing: no podés reutilizar una passkey en otro sitio aunque quieras.

Cómo activar tu passkey en USDX

Entrá a Configuración → Seguridad → Passkeys desde tu cuenta. Vas a ver el botón "Agregar dispositivo". Lo apretás, el browser te pide confirmación biométrica (o PIN si no tenés sensor), y listo — el dispositivo queda registrado.

Podés ponerle un nombre al dispositivo: "iPhone de trabajo", "MacBook casa", "Tablet". Si en algún momento querés renombrarlo, hay un ícono de lápiz al lado de cada entrada. La cuenta acepta hasta 10 dispositivos registrados — suficiente para tener el celu, la compu y algún dispositivo de backup.

USDX también sumó autenticación de dos factores con app

En paralelo a las passkeys, ahora podés activar TOTP (Time-based One-Time Password) como segundo factor. Funciona con cualquier app de autenticación: Google Authenticator, Authy, 1Password, lo que uses.

Con TOTP activado, el login pide primero tu contraseña y después el código de 6 dígitos que rota cada 30 segundos. Las passkeys están pensadas para reemplazar la contraseña directamente, así que si usás passkey + TOTP tenés autenticación de dos factores completa sin tocar ninguna contraseña.

Tu contraseña también se chequea contra filtraciones conocidas

USDX ahora corre todas las contraseñas — al crearla y al resetearla — contra la base de datos de Have I Been Pwned. Es el mayor repositorio de contraseñas filtradas del mundo, con más de 10 mil millones de contraseñas comprometidas indexadas.

La verificación usa k-anonymity: USDX manda solo los primeros 5 caracteres del hash SHA-1 de tu contraseña, recibe una lista de hashes parciales y los compara localmente. La contraseña completa nunca sale de tu computadora.

Si la contraseña que estás poniendo ya apareció en alguna filtración, USDX te avisa y te pide que elijas otra. No te la bloquea, pero el aviso es importante: una contraseña filtrada es una contraseña comprometida incluso si nunca fuiste hackeado vos personalmente.

Qué pasa si perdés el dispositivo

Si perdés el teléfono donde tenías la passkey registrada, podés revocarla desde Configuración → Seguridad → Passkeys en cualquier otro dispositivo registrado. Borrás la entrada del dispositivo perdido y ya no puede usarse para iniciar sesión.

Si perdés todos los dispositivos, el acceso cae de nuevo al login por email + contraseña. Por eso, aunque actives passkeys, conviene tener al menos dos dispositivos registrados — el celular y la computadora, por ejemplo.

Vale la pena configurarlo?

Sí, especialmente si sos merchant. Las cuentas merchant son un objetivo activo de phishing — hay grupos que arman páginas falsas de Binance, OKX y USDX para robar credenciales. Una passkey hace que esa clase de ataque sea inútil.

El proceso de setup tarda menos de un minuto. Configuración → Seguridad y listo.